Accord de sous-traitance des données personnelles

1. Parties et rôles

• Le Client, artisan abonné à Pilotbat, est responsable du traitement des données personnelles qu'il enregistre dans son Instance : il détermine pourquoi et comment elles sont traitées.
• METRIKS3D, SAS au capital de 1 000 €, RCS Carcassonne 108 066 895, éditeur de Pilotbat, agit en qualité de sous-traitant : elle traite ces données pour le compte du Client et selon ses instructions.

Les termes définis dans les conditions générales d'abonnement ont le même sens dans le présent accord.

2. Description du traitement

Objet

Hébergement et mise à disposition du logiciel Pilotbat

Durée

Celle de l'abonnement, augmentée du délai de restitution prévu à l'article 9

Nature des opérations

Hébergement, stockage, sauvegarde, consultation à la demande du Client, génération de documents, envoi de courriels déclenché par le Client, suppression

Finalité

Permettre au Client de gérer son activité : clientèle, devis, factures, interventions, équipes

Personnes concernées

• les clients et prospects du Client, et leurs contacts ;
• les salariés et collaborateurs du Client qui utilisent le logiciel ou y sont mentionnés ;
• les autres personnes que le Client choisit d'y mentionner (sous-traitants, fournisseurs).

Catégories de données

• identité et coordonnées : nom, adresse, téléphone, adresse électronique, numéro SIREN ;
• adresses de chantier et informations sur les interventions, y compris les photos de chantier ;
• données de devis, de facturation et de règlement ;
• signature électronique d'un devis par le client du Client, avec la date, l'adresse IP et le navigateur utilisés, conservés comme preuve ;
• signatures de fin d'intervention ;
• pour les salariés : comptes d'accès, heures de pointage, notes de frais et photos de justificatifs.

Le logiciel n'est pas conçu pour traiter des données sensibles au sens de l'article 9 du RGPD (santé, opinions, etc.). Le Client s'engage à ne pas en enregistrer.

3. Instructions du Client

METRIKS3D ne traite les données que sur instruction documentée du Client. Les présentes conditions, le paramétrage du logiciel et l'utilisation que le Client en fait constituent ses instructions. METRIKS3D ne traite pas les données pour ses propres finalités.

Si METRIKS3D estime qu'une instruction enfreint la réglementation, elle en informe immédiatement le Client.

4. Confidentialité

Les personnes autorisées par METRIKS3D à accéder aux données sont soumises à une obligation de confidentialité. Cet accès est limité à ce qui est nécessaire à la fourniture du Service, à l'assistance demandée par le Client et à la maintenance.

5. Sécurité

METRIKS3D met en œuvre les mesures techniques et organisationnelles décrites en annexe, adaptées au risque. Elle peut les faire évoluer, à condition de ne pas diminuer le niveau de protection.

6. Sous-traitants ultérieurs

Le Client autorise METRIKS3D à recourir aux sous-traitants ultérieurs suivants :

METRIKS3D informe le Client de tout ajout ou remplacement d'un sous-traitant ultérieur au moins trente jours à l'avance. Le Client peut s'y opposer ; à défaut d'accord, il peut résilier son abonnement sans frais. METRIKS3D impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes à celles du présent accord.

Les logiciels et plateformes de facturation que le Client choisit de connecter à son compte ne sont pas des sous-traitants de METRIKS3D : ils relèvent du contrat entre le Client et ces prestataires.

7. Droits des personnes

METRIKS3D aide le Client à répondre aux demandes d'exercice de droits des personnes concernées (accès, rectification, effacement, portabilité…). Le logiciel permet au Client de consulter, de modifier et d'exporter les données lui-même. Si une personne s'adresse directement à METRIKS3D, sa demande est transmise sans délai au Client, qui y répond.

8. Violation de données

METRIKS3D notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance. La notification décrit la nature de la violation, les données et personnes concernées, ses conséquences probables et les mesures prises ou envisagées. METRIKS3D aide le Client dans les notifications qui lui incombent auprès de la CNIL et, le cas échéant, des personnes concernées.

9. Fin du traitement

À la fin de l'abonnement, METRIKS3D restitue les données au Client dans les conditions de réversibilité des conditions générales d'abonnement, pendant un délai de trente jours. À l'issue de ce délai, l'Instance et les données sont supprimées ; les copies figurant dans les sauvegardes disparaissent au fil de leur renouvellement. Sur demande, METRIKS3D confirme la suppression par écrit.

10. Assistance, documentation et audit

METRIKS3D aide le Client, dans la mesure de ses moyens, à réaliser une analyse d'impact lorsqu'elle est requise. Elle tient un registre des traitements effectués pour le compte de ses clients.

Elle met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, au plus une fois par an et à ses frais, par un auditeur tenu au secret professionnel et qui n'est pas un concurrent de METRIKS3D, moyennant un préavis de trente jours.

11. Obligations du Client

Le Client s'assure que les traitements qu'il réalise avec Pilotbat reposent sur une base légale, informe les personnes concernées, et tient son propre registre des traitements. Il est responsable de la gestion des comptes de ses utilisateurs et de la pertinence des données qu'il enregistre.

Annexe — Mesures de sécurité

Séparation des données

• chaque client dispose d'une instance distincte : base de données, dossier de fichiers et clé de chiffrement propres ;
• les clés d'accès à des services tiers enregistrées par le client sont chiffrées en base avec la clé de son instance.

Accès et authentification

• connexions chiffrées (HTTPS) ;
• mots de passe enregistrés sous forme chiffrée irréversible, jamais en clair ; changement imposé du mot de passe provisoire à la première connexion ;
• limitation des tentatives de connexion par compte et par adresse IP ;
• droits d'accès selon le rôle de chaque utilisateur ;
• protection des formulaires contre la falsification de requêtes ;
• console d'administration de METRIKS3D accessible par comptes nominatifs, révocables individuellement.

Fichiers et documents

• fichiers déposés servis uniquement après vérification des droits de l'utilisateur connecté ;
• dossiers techniques, de configuration et de sauvegarde inaccessibles depuis le web ;
• documents financiers émis figés et protégés par une empreinte numérique, avec journal d'événements chaîné permettant de détecter toute altération.

Continuité

• bases de données sauvegardées par l'hébergeur ;
• copie des fichiers de l'instance avant chaque mise à jour du logiciel, et copie complète de la base avant toute modification de sa structure ;
• mises à jour testées sur une instance de recette avant leur déploiement chez les clients.